3.3.1.1 修改主配置文件#

1
# 主配置文件 /etc/named.conf
2
# 该文件是 BIND 的核心配置，定义监听地址、允许查询网段、DNSSEC 等全局参数，仅修改需要调整的项，其余保持默认：
3

4
vim /etc/named.conf
5

6
# 修改监听地址，可选参数：ip列表；any（所有ip）
7
listen-on port 53 { 127.0.0.1; 192.168.1.100;any };
8

9
# ipv6监听,可选参数：ipv6列表；none（关闭ipv6监听）；any
10
listen-on-v6 port 53 { ::1; };
11

12
# 允许哪些主机查询 DNS 记录。可选参数：localhost；ip网段；any；none
13
allow-query     { localhost; 192.168.1.0/24; any};
14

15
# 关闭DNSSEC验证（内网DNS无需开启，开启可能导致解析失败）
16
dnssec-validation no;

1. options {}其余可选配置：

1
# 转发器，本地无法解析的域名，转发到指定 DNS 服务器
2
forwarders { 114.114.114.114; 223.5.5.5; };
3
# 配合 forwarders 控制转发策略
4
forward only;  # 可选参数：only：仅转发（转发失败则返回失败）；first：优先转发（转发失败则本地迭代解析）
5

6
# 控制哪些主机可使用 DNS 缓存（默认继承 allow-query），可选参数同allow-query
7
allow-query-cache {any;};
8

9
# 控制哪些主机可触发递归解析，可选参数同allow-query
10
allow-recursion {any;};
11

12
# 是否开启 DNSSEC 验证（内网 DNS 建议设 no，避免解析失败）
13
dnssec-validation no;
14

15
# 是否开启递归解析（内网 DNS 必须设 yes，否则无法解析外网域名）
16
recursion yes;
17

18
# 全局 DNS 缓存的最大生存时间，超过则重新解析，时间（如 1D、12H、3600 秒）
19
max-cache-ttl 1D;
20

21
# BIND 的工作目录，区域数据文件默认存这里
22
directory       "/var/named";
23

24
# 缓存转储文件路径
25
dump-file       "/var/named/data/cache_dump.db";
26

27
# 统计信息文件路径
28
statistics-file "/var/named/data/named_stats.txt";
29

30
# PID 文件路径
31
pid-file  "/run/named/named.pid"
32

33
# 会话密钥文件路径
34
session-keyfile  "/run/named/session.key"
35

36
# 限制单个查询的最大客户端数，防止 DoS 攻击
37
max-clients-per-query 100;
38

39
# 限制每秒响应数，防攻击
40
rate-limit { responses-per-second 10; };

展开收起

2. acl可选模块

自定义 ACL 可以简化权限配置（比如多次用到同一个网段时，只需写 ACL 名称）

1
# 定义名为 "lan" 的ACL，包含内网网段+本机
2
acl "lan" {
3
   192.168.1.0/24;
4
   127.0.0.1;
5
   ::1;
6
};
7

8
# 在options中引用ACL
9
options {
10
   allow-query { lan; };  # 等价于写 192.168.1.0/24; 127.0.0.1; ::1;
11
};

3. logging可选模块

控制 DNS 日志的输出位置、级别

1
logging {
2
   # 定义日志通道：输出到文件，级别debug
3
   channel "dns_log" {
4
       file "/var/log/named/named.log" versions 3 size 100M;  # 日志文件+保留3个版本+单文件100M
5
       severity debug;  # 日志级别：debug/info/warn/error/critical
6
       print-time yes;  # 打印时间
7
       print-severity yes;  # 打印级别
8
       print-category yes;  # 打印分类
9
   };
10
   # 定义日志类别：将所有查询日志输出到dns_log通道
11
   category queries { dns_log; };
12
   # 定义日志类别：将所有错误日志输出到dns_log通道
13
   category error { dns_log; };
14
};

4. include可选模块

用于拆分配置（比如把区域配置放到 named.rfc1912.zones），路径可变，

1
# 引入区域配置文件（CentOS 7 默认配置）
2
include "/etc/named.rfc1912.zones";
3
# 引入密钥文件（如DDNS密钥）
4
include "/etc/named.ddns.key";

3.3.1.2 修改区域配置文件#

该文件用于定义正向解析区域和反向解析区域，告诉 BIND 需要管理哪些域名和 IP 段的解析，在文件末尾添加以下配置：

1
vim /etc/named.rfc1912.zones
2
# 正向解析区域：域名→IP
3
zone "laixianshen.com" IN {
4
    type master;        # 类型为主服务器（内网核心DNS）
5
    file "laixianshen.com.zone";  # 正向区域数据文件名称（自定义，需与后续创建的文件一致）
6
    allow-update { none; };  # 禁止动态更新（内网无需）
7
};
8

9
# 反向解析区域：IP→域名（区域名规则：IP段倒序.in-addr.arpa）
10
# 192.168.1.0/24段的反向区域名：1.168.192.in-addr.arpa
11
zone "22.168.192.in-addr.arpa" IN {
12
    type master;
13
    file "192.168.22.zone";  # 反向区域数据文件名称（自定义）
14
    allow-update { none; };
15
};

3.3.1.3 创建区域数据文件（正向 + 反向）#

区域数据文件是实际存储域名 - IP 映射关系的文件，存放在/var/named/，必须以named为属主（BIND 运行用户），建议基于系统默认模板named.localhost复制（模板已配置好权限和 SOA 记录格式）。

1. 创建正向解析数据文件：/var/named/test.com.zone

1
# 复制模板，保留原权限
2
cp -p /var/named/named.localhost /var/named/named.laixianshen.com.zone
3
# 编辑文件
4
vim /var/named/named.laixianshen.com.zone
5

6
$TTL 1D  ; 全局TTL，缓存时间1天,可选参数：D（天）、H（时）、M（分）、S（秒）
7
@       IN SOA  @  rename.invalid. (
8
                                        0       ; 序列号（修改配置后需+1，否则从服务器不同步）
9
                                        1D      ; 刷新时间
10
                                        1H      ; 重试时间
11
                                        1W      ; 过期时间
12
                                        3H )    ; 否定缓存时间
13

14
        NS      @
15
@       IN  A   192.168.77.11
16
dns     IN  A   192.168.33.22
17
test    IN  A   192.168.44.55
18
www     IN  A   192.168.33.55
19
www     IN  AAAA        ::1

关键参数说明：

1. TTL作用：客户端 / 其他 DNS 服务器缓存这些解析记录的时间，超过后会重新查询获取最新记录，避免长期使用过期记录。

2. @ IN SOA @ rename.invalid.:

• @：DNS 区域文件的特殊符号，代表当前区域名（该文件对应的是laixianshen.com区域，则@等价于laixianshen.com.，末尾的.是 “绝对域名” 标识，不可省略）。

• IN：固定值，代表Internet类 DNS 记录（所有 DNS 记录默认用 IN 类，可省略）。

• SOA：Start of Authority（授权起始记录）的缩写，是每个区域文件必须包含的核心记录，标识该 DNS 区域的 “权威信息”，一个区域文件只能有 1 个 SOA 记录。

• @：指定该区域的主 DNS 服务器（Primary Nameserver），这里用@等价于当前区域名（laixianshen.com.），生产中建议写具体域名（如ns.laixianshen.com.）。

• rename.invalid.：该区域管理员的邮箱地址，DNS 中用.替代邮箱的@，所以rename.invalid.实际对应rename@invalid（这是系统默认占位符，生产中需改为真实邮箱，如admin.test.com.对应admin@test.com）；末尾的.必须加（代表绝对域名）。

3. （ ）：括号里面的为SOA参数

• serial：序列号，SOA 的第一个核心参数，是区域文件的版本号（纯数字）。每次修改区域文件（新增 / 修改 / 删除记录）后，必须将序列号 + 1（如 8→9），否则从 DNS 服务器会认为文件未更新，不会同步新记录。

• refresh：刷新时间，SOA 的第二个参数，定义从 DNS 服务器主动向主 DNS 服务器查询 “是否有更新” 的间隔。设置一天，即从服务器每 24 小时主动检查一次主服务器的区域文件序列号，若序列号变大则同步新记录。

• retry：重试时间，若从服务器尝试 “刷新（refresh）” 失败（比如主服务器宕机），则等待该时间后重新尝试。设置一小时，即刷新失败后，每 1 小时重试一次。

• expire：过期时间，若从服务器持续无法与主服务器通信，超过该时间后，从服务器会放弃使用该区域的缓存记录，不再对外提供该区域的解析服务。设置1 周，即主从断连超过 7 天，从服务器就会失效该区域的所有记录。

• minimum：否定缓存时长（也叫 negative TTL），定义客户端查询 “不存在的域名” 时，缓存 “该域名不存在” 这个结果的时长。设置3 小时，比如查询xxx.test.com（无该记录），客户端会缓存 “xxx.test.com不存在” 的结果 3 小时，3 小时内再查不会发起新请求。

4. NS @：

• NS：Name Server（域名服务器记录），标识该区域的权威 DNS 服务器。

• 该行等价于@ IN NS @（省略了IN，默认生效），含义是：当前区域名（laixianshen.com.）的权威 DNS 服务器是它自己（@）。

• 注意：生产中 NS 记录建议写具体的 DNS 服务器域名（如ns.laixianshen.com.），且需配套 A/AAAA 记录，否则会解析失败。

5. @ IN A 192.168.77.11：

• A：IPv4 地址记录，核心作用是将域名映射到 IPv4 地址。

• 含义：当前区域名（@，laixianshen.com.）对应的 IPv4 地址是192.168.77.11，即访问laixianshen.com会解析到这个内网 IP。

• IN：显式指定 IN 类，可省略（默认生效）。

• 注意：该条与NS @对应，将权威dns服务器映射到该ip地址，若权威dns服务器无IP地址映射则会报错

6. dns IN A 192.168.33.22：

• 含义：子域名dns.当前区域名（dns.laixianshen.com.）对应的 IPv4 地址是192.168.33.22。

• 注意：子域名后省略了末尾的.，BIND 会自动拼接当前区域名，形成 “绝对域名”（dns.laixianshen.com.）。

7. www IN AAAA ::1:

• AAAA：IPv6 地址记录，核心作用是将域名映射到 IPv6 地址（与 A 记录对应，适配 IPv6 网络）。
• 含义：子域名www.当前区域名（www.laixianshen.com.）对应的 IPv6 地址是::1（本机回环地址，等价于 IPv4 的127.0.0.1）。
• 补充：同一域名可同时配置 A（IPv4）和 AAAA（IPv6）记录，实现 IPv4/IPv6 双栈解析。

2. 创建反向解析数据文件：/var/named/192.168.1.zone

反向解析数据文件，用于ip解析成为域名，和正向解析数据文件没有关联，可以相互独立出来

1
# 复制模板，保留原权限
2
cp -p /var/named/named.loopback /var/named/192.168.22.zone
3
# 编辑文件
4
vim /var/named/192.168.22.zone
5

6
$TTL 1D
7
@       IN SOA  helloworld.com.  admin.test.com. (
8
                                        0       ; 序列号
9
                                        1D      ; 刷新
10
                                        1H      ; 重试
11
                                        1W      ; 过期
12
                                        3H )
13
        NS      ns.helloworld.com.
14
100     IN PTR  ns.helloworld.com.
15
101     IN PTR  www.helloworld.com.
16
102     IN PTR  test.helloworld.com.

关键参数说明：

1. @ IN SOA helloworld.com. rename.invalid.：

• @：DNS 区域文件的特殊符号，代表当前反向区域名（反向区域名规则：IP 段倒序 +.in-addr.arpa，比如 192.168.22.0/24 网段的反向区域名是22.168.192.in-addr.arpa，此时@就等价于这个反向区域名）。

• helloworld.com.：该反向区域的主 DNS 服务器域名，@则为22.168.192.in-addr.arpa（注意末尾的.是 “绝对域名” 标识，不可省略）；生产中建议写反向区域对应的权威 DNS 服务器（如ns.helloworld.com.）

2. NS ns.helloworld.com.:

• NS：Name Server（域名服务器记录），标识该反向区域的权威 DNS 服务器

• 该行等价于@ IN NS ns.helloworld.com.（省略了@和IN，默认生效），含义是：当前反向区域名（1.168.192.in-addr.arpa）的权威 DNS 服务器是ns.hellowrold.com.（注意末尾的.不可省略）

• 关键：NS 记录指定的域名（ns.hellorld.com.）必须有对应的 A/AAAA 记录，否则反向解析会失败。

3. 100 IN PTR ns.helloworld.com.:

• PTR：Pointer（指针记录），反向解析的核心记录，作用是「将 IP 地址映射到域名」（与正向解析的 A 记录相反）。
• 核心规则：反向区域文件中，PTR记录前的数字是 IP 的最后一段（需结合反向区域名确定完整 IP）。反向区域名是22.168.192.in-addr.arpa（对应 192.168.22.0/24），则100代表完整 IP 是192.168.22.100。
• 含义：IP 地址192.168.22.100反向解析到域名ns.helloworld.com.
• 注意：PTR后的域名必须加末尾的.（绝对域名），否则 BIND 会自动拼接当前反向区域名，导致域名错误（如变成ns.helloworld.com.22.168.192.in-addr.arpa.）。

3.3.1.4 修改区域数据文件权限#

/var/named/下的区域数据文件属主必须是 named，否则 BIND 启动失败

1
chown named:named /var/named/named.laixianshen.com.zone /var/named/192.168.22.zone

3.3.1.5 配置文件语法检查#

1
# 检查主配置文件语法，无输出即表示语法无错误
2
named-checkconf
3

4
# 检查正向区域：正向区域名 + 区域数据文件
5
named-checkzone laixianshen.com /var/named/named.laixianhen.com.zone
6
# 检查反向区域：反向区域名  + 区域数据文件
7
named-checkzone 1.168.192.in-addr.arpa /var/named/192.168.1.zone
8

9
# 正常输出
10
zone test.com/IN: loaded serial 0
11
OK

3.5.1.1 正向解析测试#

1
nslookup www.laixianshen.com
2

3
# 出现如下结果，说明解析正常，与正向区域数据文件填入的ip地址一致
4
Server:    127.0.0.1
5
Address:  127.0.0.1#53
6

7
Name:  www.laixianshen.com
8
Address: 192.168.33.55
9
Name:  www.laixianshen.com
10
Address: ::1
11

12
dig @127.0.0.1 laixianshen.com
13

14
# 出现如下结果
15
; <<>> DiG 9.11.4-P2-RedHat-9.11.4-26.P2.el7_9.16 <<>> @127.0.0.1 laixianshen.com
16
; (1 server found)
17
;; global options: +cmd
18
;; Got answer:
19
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 28448
20
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1
21

22
;; OPT PSEUDOSECTION:
23
; EDNS: version: 0, flags:; udp: 4096
24
;; QUESTION SECTION:
25
;laixianshen.com.    IN  A
26

27
;; ANSWER SECTION:
28
laixianshen.com.  86400  IN  A  192.168.77.11  #解析正常
29

30
;; AUTHORITY SECTION:
31
laixianshen.com.  86400  IN  NS  laixianshen.com.
32

33
;; Query time: 0 msec
34
;; SERVER: 127.0.0.1#53(127.0.0.1)
35
;; WHEN: Tue Feb 10 11:11:02 CST 2026
36
;; MSG SIZE  rcvd: 74

3.5.1.2 反向解析测试#

1
nslookup 192.168.22.100
2

3
# 出现如下结果，说明解析正常
4
100.22.168.192.in-addr.arpa  name = ns.helloworld.com.
5

6
dig @127.0.0.1 -x 192.168.22.101
7

8
# 出现如下结果说明解析正常
9
; <<>> DiG 9.11.4-P2-RedHat-9.11.4-26.P2.el7_9.16 <<>> @127.0.0.1 -x 192.168.22.101
10
; (1 server found)
11
;; global options: +cmd
12
;; Got answer:
13
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 36551
14
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1
15

16
;; OPT PSEUDOSECTION:
17
; EDNS: version: 0, flags:; udp: 4096
18
;; QUESTION SECTION:
19
;101.22.168.192.in-addr.arpa.  IN  PTR
20

21
;; ANSWER SECTION:
22
101.22.168.192.in-addr.arpa. 86400 IN  PTR  www.helloworld.com.    # 解析正常
23

24
;; AUTHORITY SECTION:
25
22.168.192.in-addr.arpa. 86400  IN  NS  ns.helloworld.com.
26

27
;; Query time: 0 msec
28
;; SERVER: 127.0.0.1#53(127.0.0.1)
29
;; WHEN: Tue Feb 10 11:14:37 CST 2026